Tag Archives: wordpress

สำหรับผู้เริ่มต้นที่ต้องการศึกษาการใช้ Kali Linux ในการทดสอบเจาะระบบและเรียนรู้การใช้เครื่องมือต่างๆ สามารถลงคอร์ส Kali Linux Hacking Lab for Beginners บน Udemy ได้ฟรี ช่วงนี้เท่านั้น

พบช่องโหว่ร้ายแรงบน PHPMailer ระบบ Open Source PHP Library สำหรับใช้ส่ง Email เปิดโอกาสให้ผู้โจมตีสามารถทำ Remote Code Execution ได้

สำหรับเหล่าผู้ดูแลเว็บไซต์และนักพัฒนาที่ใช้ WordPress เป็นหลัก ทาง WordPress ได้ประกาศออกรุ่น 4.7 เป็นรุ่น Major Release สุดท้ายสำหรับปี 2016 ออกมาเรียบร้อยแล้วอย่างเป็นทางการภายใต้ชื่อรุ่น “Vaughan” โดยมีจุดเด่นใหม่ๆ ที่น่าสนใจดังนี้

หลังจากที่ Matt Mullenweg ได้ออกมากล่าวหาว่า Wix นั้นขโมย Source Code ของ WordPress ไปใช้โดยไม่ให้เครดิต ตอนนี้ Wix ได้ออกมาตอบโต้แล้ว

Matt Mullenweg ผู้ก่อตั้ง WordPress ได้ออกมาเปิดเผยว่า Wix บริการสร้างเว็บไซต์ครบวงจรอย่างง่ายดาย ได้นำ Source Code ในส่วนของระบบ Editor จาก WordPress ไปใช้โดยไม่ทำตามข้อสัญญา General Public License (GPL) ที่ระบุว่าจะต้อง Open Source ให้แก่ Code เหล่านั้นด้วย

WordPress แพลทฟอร์มมาตรฐานสำหรับสร้าง Blog ยอดนิยม ออกอัปเดตใหม่ล่าสุด เวอร์ชัน 4.6.1 อุดช่องโหว่ Cross-site Scriting และ Path Traversal พร้อมทั้งช่องโหว่อื่นๆ รวม 15 รายการ แนะนำให้ผู้ใช้รีบอัปเดตโดยทันที

**อัพเดต: Acunetix แถลงว่าเหตุการณ์นี้ไม่เป็นความจริงแต่อย่างใด แต่มีผู้แอบอ้างว่าโจมตีได้สำเร็จเท่านั้น https://www.techtalkthai.com/acunetix-official-statement-declaring-it-was-not-hacked/ เว็บไซต์ของ Acunetix ผู้ให้บริการโซลูชัน Vulnerability Scanner สำหรับเว็บแอพพลิเคชันชื่อดัง ถูกเปลี่ยนหน้าโดยแฮ็คเกอร์ชาวโครเอเชีย ส่งผลให้เว็บไซต์ต้องปิดปรับปรุงเป็นวัน แถมตอกหน้า ที่ทำไปเพื่อ “ความมันส์” เท่านั้น

ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจาก Sucuri บริษัทชั้นนำทางด้าน Web Security ออกมาเปิดเผยช่องโหว่ Cross-site Scripting (XSS) บน Jetpack Plug-in ชื่อดังบน WordPress ซึ่งช่วยให้แฮ็คเกอร์สามารถส่งโค้ดแปลกปลอมผ่านเข้ามาทางช่อง Comment ได้

Ryan Huber วิศวกรความมั่นคงปลอดภัยจาก Slack ค้นพบช่องโหว่ Zero-day ความรุนแรงสูงบน ImageMagick เครื่องมือยอดนิยมสำหรับปรับแต่งรูปภาพของผู้ใช้บนเว็บไซต์ ที่ช่วยให้แฮ็คเกอร์สามารถรันโค้ดโจมตีบน Web Server จากระยะไกลผ่านทางรูปภาพที่มี Malicious Code แฝงอยู่ได้

WordPress แพลทฟอร์มมาตรฐานสำหรับสร้าง Blog ยอดนิยม เตรียมพร้อมให้บริการเว็บไซต์แบบ HTTPS แก่ผู้ใช้ฟรี ไม่ต้องเสียค่าใช้จ่ายในการซื้อ SSL Certificate อีกต่อไป โดย Certificate ฟรีนี้ได้รับการสนับสนุนจาก Let’s Encrypt CA ชื่อดังที่ให้บริการ SSL Certificate ฟรี นั่นเอง

หลายท่านคงทราบข่าวเรื่อง Panama Papers กันแล้ว ที่ข้อมูลเอกสารลับกว่า 11.5 ล้านฉบับ รั่วไหลออกจากบริษัท Mossack Fonseca ไปเมื่อไม่กี่วันที่ผ่านมา ส่วนหนึ่งของเอกสารเหล่านี้เป็นเอกสารการทำธุรกรรมลับหรือเอกสารทุจริตของผู้มีชื่อเสียงและนักธุรกิจชั้นนำจากทั่วโลก ในไทยเองก็มีหลุดมาถึง 21 คน ซึ่งจนถึงตอนนี้ยังไม่ทราบว่าใครเป็นผู้อยู่เบื้องหลังเหตุการณ์ดังกล่าว

GoDaddy Inc. ผู้ให้บริการจดทะเบียนโดเมนชื่อดัง เปิดตัวบริการ Cloud Servers และ Cloud Applications ให้บริการ Cloud Computing คล้าย Amazon Web Services โดยเน้นกลุ่มลูกค้า SMB (Small and Midsize Business)

เว็บไซต์ NakedSecurity ของ Sophos ได้ออกมาเล่าถึงเรื่องราวของ Malware ตระกูล Troj/PHPRansm-B ที่ทำการโจมตีเว็บไซต์ต่างๆ ที่ใช้ PHP โดยเฉพาะ CMS ชื่อดังอย่าง WordPress, Drupal และ Joomla โดยการโจมตีผ่านการฝังไฟล์ index.php ที่ทำหน้าที่โจมตีและเรียกค่าไถ่ดังต่อไปนี้ลงไปยังเว็บที่ใช้ PHP

Sucuri ได้ออกมาเปิดเผยถึงการโจมตีที่ถูกพบเป็นจำนวนมากในช่วงนี้บนเว็บไซต์ที่ใช้ WordPress ด้วยการแทรกโค้ด JavaScript แปลกปลอมลงไปยังไฟล์ .js ทั้งหมดเท่าที่จะทำได้ และอัพโหลด Backdoor เพิ่มเอาไว้ในเว็บ เพื่อให้สามารถโจมตีซ้ำต่อเนื่องและอัพเดตโฆษณาได้เรื่อยๆ หลังจากผู้ดูแลเว็บทำการเก็บกวาด .js ให้สะอาดแล้วด้วย

Trend Micro ผู้ให้บริการโซลูชันด้านความปลอดภัยชั้นนำของโลก ได้ออกมาเปิดเผยว่า The Indendent หนังสือพิมพ์ยักษ์ใหญ่แห่งสหราชอาณาจักร กำลังทำความสะอาดเว็บไซต์ หลังจากที่มีผู้ไม่ประสงค์ดีแอบส่งมัลแวร์เรียกค่าไถ่ (Ransomware) เข้ามาเพื่อกระจายไปยังผู้อ่านกว่าหลายล้านคน

เมื่อ jQuery กลายเป็นเทคโนโลยีที่เหล่านักพัฒนาชอบเลือกใช้ การโจมตีด้วยการฝัง Script jQuery ปลอมในเว็บไซต์ต่างๆ เพื่อใช้ในการโจมตีจึงได้รับความนิยมและเริ่มแพร่ระบาด ดังนั้นเหล่านักพัฒนาและผู้ดูแลเว็บไซต์จึงควรหมั่นตรวจสอบการเปลี่ยนแปลงของโค้ดอยู่เสมอๆ โดยเฉพาะเว็บ WordPress และ Joomla ที่มักตกเป็นเป้าหมายของการโจมตีลักษณะนี้อยู่แล้ว โดยพฤติกรรมทั่วไปของการโจมตีด้วย Fake jQuery Injection มีดังนี้

จากที่ไม่กี่วันก่อน WordPress ได้อัพเดทแพทช์เวอร์ชัน 4.1.2 เพื่ออุดช่องโหว่ XSS ไปนั้น ในวันนี้ WordPress เวอร์ชันล่าสุด 4.2 ซึ่งเพิ่งเริ่มให้บริการเมื่อวันพฤหัสบดีที่ผ่านมา ก็ถูกค้นพบว่ามีช่องโหว่ XSS ที่เปิดโอกาสให้แฮ็คเกอร์สามารถยิง Javascript เข้ามาในช่อง Comment ของ WordPress เพื่อโจมตีเว็บไซต์ได้

ในช่วง 2 วันที่ผ่านมา มีรายงานการค้นพบช่องโหว่บน Plugin ของ WordPress 2 ตัว คือ Huge IT Slider และ WordPress SEO ซึ่งส่งผลให้แฮ็คเกอร์สามารถโจมตีแบบ SQL Injection และ Cross-Site Request Forgery ได้ ทางทีมงาน TechTalkThai จึงรวบรวมข้อมูลมาสรุปให้ฟังกันครับ